如何构建Checkov VSCode扩展免订阅自定义策略

完全不需要购买付费订阅，就能给Checkov VSCode扩展配置自定义Terraform、Docker扫描策略，核心逻辑是Checkov的VSCode扩展默认依赖本地Checkov CLI内核执行扫描，只要本地CLI能识别的自定义策略，都可以通过本地配置的方式让扩展加载，全程不需要登录账号、不需要开通云服务权限。

具体操作步骤如下：

• 先按照Checkov公开的CLI自定义策略开发规则，编写适配Terraform、Docker场景的自定义检查规则，支持Python原生自定义检查、YAML声明式自定义策略两种形式，和CLI端使用的策略写法完全一致，不需要做特殊适配。写完之后把所有自定义策略统一存放到本地固定目录，比如可以新建专门的checkov-custom-rules目录存放所有规则文件。
• 打开VSCode的设置面板，搜索Checkov配置项，找到Checkov: Custom Checks Dir配置项，填入你存放自定义策略的本地目录绝对路径即可。如果需要给单个项目单独配置规则，也可以直接在项目根目录的.vscode/settings.json文件中写入配置，示例：

{
  "checkov.customChecksDir": "./project-checkov-rules"
}

这种项目级配置支持填相对路径，把自定义策略目录随项目代码一起提交的话，团队其他成员拉取代码后，只要安装了Checkov扩展就能直接复用同一套规则，不需要额外手动配置。

• 配置完成后重载VSCode窗口，故意写一段会触发自定义规则的违规配置做验证，如果扩展能正常弹出风险告警，就说明自定义策略已经加载生效。

注意：配置全程不要使用扩展内引导的「上传自定义策略到云端平台」功能，该功能属于付费订阅关联的云同步能力，仅走本地目录加载策略的路径不会产生任何费用，也不需要绑定付费账号。

内容的提问来源于stack exchange，提问作者Dushyant Bhardwaj